Ref. Område Kontroll Identifierad brist Rekommendation Prio

Transkript

1 4.1 Övervakande kontroller Övervakande kontroll för uppföljning av lönekostnader Uppföljning av lönekostnader sker på olika nivåer inom organisationen som en del av uppföljning av utfall mot budget. Respektive verksamhetsansvarig har ett löpande budgetansvar. Uppföljning av lönekostnader ingår som en del i budgetuppföljningen. Det görs dock ingen formellt dokumenterad uppföljning av att månadens lönekostnader är rimliga i förhållande till föregående period och jämfört mot budget. Vi rekommenderar att en kontroll för månadsvis uppföljning av lönekostnader för kommunen formaliseras. Kontrollen bör inkludera en bedömning av att månadens lönekostnader är rimliga i förhållande till föregående period och jämfört mot budget. Detta för att identifiera eventuella orimliga/oriktiga kostnader som felaktigt belastar respektive verksamhet. Kontrollen bör utföras av person som inte har åtkomst till lönesystemet (exempelvis respektive verksamhetsansvarig) och bör dokumenteras för att det i efterhand skall vara möjligt att kunna verifiera att kontrollen utförts. 2 Vi kommer att se över möjligheten att inrymma utökad internkontroll för löner inom kommunens systematiska internkontrollarbete. 5.1a Behörigheter Upplägg, ändring eller borttag av behörigheter Ansvarig chef meddelar via , telefon eller ärendehanteringssystemet Nilex (i vilket det finns elektronisk blankett) att en ny medarbetare skall ha behörighet till Personec P (avser arbetsledare, assistent, löneadministratör eller dylikt). Godkännande Det finns ingen formaliserad rutin för upplägg, ändring eller borttag av behörigheter. Vi rekommenderar att rutinen för behörighetsadministration (upplägg, ändring eller borttag) förtydligas och formaliseras. 2 Vi kommer att se över hanteringen i samband med byte av sekretesssystem. 1 (11)

2 från behörig chef måste ske innan behörighet ges till medarbetare. Rutinen är inte formaliserad och det är inte tydligt vilka underlag som krävs för upplägg och hur ett godkännande verifieras. Det finns heller inga formella rutiner för borttag/ändring av behörigheter sker i samband med att personer slutar eller byter arbetsuppgifter. 5.1b Behörigheter Begränsad åtkomst Åtkomst till kritisk data/funktioner är begränsad till behöriga användare. Dock noterades att löneadministratören på Hulebäcksgymnasiet liksom systemförvaltarna har full behörighet. Behörigheter bör vara kopplade till arbetsuppgifter. Vid granskningen noterades att löneadministratören på Hulebäcksgymnasiet liksom systemförvaltarna har full behörighet. Behörigheter bör vara kopplade till arbetsuppgifter för att minimera risken för att ändringar/åtgärder i lönesystemet utförs. Vi rekommenderar att kommunen går igenom de anställdas behörigheter och säkerställer att deras behörigheter är i enlighet med deras ansvarsområden och arbetsuppgifter. Eventuella inaktuella användare bör rensas bort. Detta bör sedan införas som en återkommande kontroll, se vidare rekommendation 5.1c nedan. 1 Avslutningsdatum sätts och behörigheten upphör. Rensning av avslutade behörigheter sker två gånger om året. Se även 5.1a. 5.1c Behörigheter Behörighetsuppföljning Det görs ingen formell kontinuerlig (exempelvis årlig) genomgång av användarna i lönesystemet. Systemförvaltaren gör dock genomgångar och tar bort behörigheter när det Periodvis (exempelvis årlig) uppföljning av användare, inkluderande att rätt personer har rätt behörighet, sker ej i dagsläget. Detta medför en Vi informerades vid möte den 20 april 2011 att löneadministratören på Hulebäcksgymnasiets behörighet begränsats. Vi rekommenderar att kommunen implementerar en formaliserad rutin för kontinuerlig (exempelvis årlig) genomgång av användare. 2 Se 5.1a och 5.1b. 2 (11)

3 anses nödvändigt. Enligt uppgift låses dock alltid kontot när en anställd slutar (se kontroll 5.1a). 5.2 Lösenord lösenordspolicy följs Löneavdelningen har kommunicerat till de anställda att kommunens lösenordspolicy följs. Denna kräver att lösenordet skall vara 8 tecken långt och innehålla en versal och en siffra. Lösenordet kan inte återanvändas inom ett år och måste bytas var 60:e dag. Om byte av lösenord inte sker inom 30 dagar efter att det skulle bytts spärras kontot. Uppsättningen i systemet är dock uppsatt så att 6 tecken krävs. 6.2 Tidrapportering Fullständighet och godkännande av tidrapportering i Självservice I självservice rapporterar den anställde in sin frånvaro, extratid eller de andra avvikelser som skiljer sig från schemat inlagt i Personec P. Det tillstyrks sedan och beviljas av två olika personer. I samband med lönekörning säkerställer löneadministratörerna i största möjliga mån att det ej finns oattesterade poster. ökad risk att inaktuella användarid används för obehöriga åtgärder i lönesystemet. Lösenordsuppsättningen i systemet är ej i enlighet med kommunens lösenordspolicy. Det finns verksamheter där Självservice ej ännu används (exempelvis lärare och lokalvårdare). Då normaltid inte tidrapporteras är det svårt för löneavdelningen att säkerställa fullständighet i tidrapporteringen. En lista bör tas ut över användare som finns upplagda i systemet med syfte att säkerställa att endast godkända användare finns upplagda och att användare som slutat eller bytt arbetsuppgifter tas bort. Lösenordsuppsättningen i systemet bör ses över då den ej överensstämmer med kommunens lösenordspolicy. Vi rekommenderar kommunen att fortsätta implementera Självservice i fler verksamheter och upprätta en tidsplan när detta skall ske. Vidare rekommenderar vi kommunen att utvärdera möjligheten att nyttja Självservice till att säkerställa fullständighet i tidrapporteringen. Är det 3 I nuvarande sekretesssystem går det inte att sätta samma regler som i nätverket. Planerat datum för driftstart av det nya sekretess-systemet, som är under uppbyggnad, är 6-7 september Då kommer vi att använda reglerna i nätverksinloggningen fullt ut. 3 Planering för detta har startat. 4 Sådan funktion finns inte i systemet idag. 3 (11)

4 exempelvis möjligt att införa krav på att arbetsledare/ansvarig för arbetsgruppen skall lämna in ett godkännande för medarbetare veckovis/månadsvis via Självservice? 6.3 Tidrapportering Fullständighet och godkännande av manuell tidrapportering Underlag för tidrapportering inkommer på blanketter från verksamheterna och är signerade av arbetsledaren. Underlagen skickas brevledes till löneavdelningen. Varje underlag tas om hand av respektive ansvarig löneadministratör för verksamheten. Signerade underlag registreras i Personec P av respektive löneadministratör. Löneavdelningen upplever vissa problem med att få in placeringsscheman i rätt tid. Dock används schemaläggningssystemet TimeCare i större utsträckning vilket förenklat rutinen något. Vi rekommenderar kommunen att prioritera att anställda kommer in i Självservice så snart som möjligt. Vi har informerats om att detta är ett prioriterat område. 3 Se Kostnadsersättningar Löneavdelningen har dock svårt att säkerställa fullständighet i tidrapporteringen då detta kräver att de i tid får in korrekta tidrapporter och placeringsscheman. Kontroll av korrekt godkännande av kostnadsersättningar Ansökan av ersättning för reserelaterade utlägg görs antingen i Självservice eller på manuell blankett. Ersättning för övriga utlägg och icke momsberättigade utlägg görs på manuell blankett. Utläggen skall attesteras av aktuell Rutinen i Självservice bedöms fungera tillfredsställande. Det finns dock verksamheter där Självservice ej ännu används (exempelvis lärare och lokalvårdare). Vi rekommenderar kommunen att fortsätta implementera Självservice i fler verksamheter och att upprätta en tidsplan när detta skall ske, d.v.s. att prioritera att alla får tillgång till Självservice för att undvika manuell hantering av kostnadsersättningar. 3 Se (11)

5 verksamhetschef innan utbetalning. Vad gäller Självservice sker attest direkt i Självservice och vad gäller manuella blanketter sker attest på blankett. Ansvarig chef godkänner och attesterar utläggen som sedan läggs in i Personec P av en löneadministratör som kontrollerar rimligheten. Alla underlag för momsgrundande utlägg arkiveras årsvis i pärm per personnummer och sparas i tio år. Övriga underlag arkiveras innevarande plus två år. 8.1 Arvoden Rimlighetsbedömning av förtroendevaldas ersättning Innan utbetalning gör lönechefen en genomgång av lönelistan för alla förtroendevalda och gör en rimlighetsbedömning på individnivå. Kontroll sker mot underlag vid behov. Kontrollen dokumenteras ej. Automatisk kontroll finns inlagt i Personec P för maxbelopp per dag. 8.2 Arvoden Kontroll av korrekt godkännande av arvoden till föreläsare, artister etc. Särskild blankett (arvodesbeslut) används för utbetalning av arvode, utlägg och milersättning till god man. Blanketten skall vara attesteras anställd på Den kontroll avseende rimlighet i de förtroendevaldas ersättningar som lönechefen utför dokumenteras ej. Slutlig kontroll görs på samma sätt som för övriga löneutbetalningar (d.v.s. en rimlighetskontroll per lönespec och person). Dock dokumenteras inte kontrollen. Vi rekommenderar att kommunen formaliserar en kontroll som säkerställer att ersättningar till förtroendevalda är rimlig och i enlighet med godkända underlag. Kommunen bör säkerställa att uppföljning görs av utfall av förtroendevaldas kostnader mot budget. Vi rekommenderar att kommunen formaliserar en kontroll som säkerställer att arvodesersättningar är rimliga och i enlighet med godkända underlag. 2 Vi bedömer att nuvarande kontroll av varje enskild lönespec är tillräcklig. Kontroll av utfall görs av kanslichefen. 2 Vi bedömer att nuvarande kontroll av varje enskild lönespec är tillräcklig. Kontroll av utfall görs 5 (11)

6 överförmyndarnämndens kansli. Gode män läggs upp som arvodister i Personec P utifrån arvodesbeslutet. Föreläsare och artister erhåller ersättning utifrån faktura som skall vara konterad och attesterad av ansvarig chef. Föreläsare och dylikt läggs upp som arvodister i Personec P baserat på information i fakturan. Kommunen bör säkerställa att uppföljning görs av utfall av utbetalda arvoden mot budget. mot underlag av löneadministratör. 9.1 Förändringar i fasta data personalregistret 9.3 Förändringar i fasta data konterings- Innan utbetalning sker en rimlighetsbedömning av respektive anställs lönespec. Kontrollen dokumenteras ej. Kontroll att ändringar i personalregistret är godkända och riktiga Ändringar i personalregistret utförs av löneavdelningen baserat på godkända underlag (signerade anställningsbevis). Ändringar i anställningsinformation loggas till viss del (det framgår vem som gjort den senaste ändringen och när men inte vad som ändrats). Händelselogg som loggar kritiska händelser har aktiverats men följs ej upp systematiskt. Loggen innehåller information om vem som gjort senaste ändringen och när samt vad som ändrats. Kontroll att ändringar i konteringsstyrning/orsakskoder är godkända och riktiga Kommunen har aktiverat händelseloggen vilken är viktig för att i efterhand kunna följa vilka som påverkat olika lönetransaktioner och när. Dock sker i dagsläget ingen systematisk uppföljning av innehållet i loggen för att säkerställa att ändringarna är godkända och riktiga. Vi rekommenderar kommunen att undersöka möjligheten att följa upp kritiska ändringar enligt händelseloggen på kontinuerlig basis. Ändringar bör gås igenom för att säkerställa att de är godkända och riktiga. Kontrollen bör utföras av annan person än den som utfört ändringen. Det är viktigt att händelseloggen är hanterbar och att endast relevanta fält loggas. 2 Vi kommer att se över hanteringen i samband med byte av sekretesssystem. 6 (11)

7 styrning/orsakskoder 10.1 Förändringar i ackumulatorer 11.1 Förändringar i styrtabeller Ändringar i konteringsstyrning och upplägg av orsakskoder sker sällan men när det sker administreras det av en av systemförvaltarna. Kontroll att ändringar i ackumulatorer är godkända och riktiga Ändringar i ackumulatorer (som sparade semesterdagar, komptid, ack. bruttolön, ack. nettolön etc.) görs endast i undantagsfall. Systemförvaltarna och löneadministratörerna har behörighet att ändra dessa. Kontroll att ändringar i styrtabeller baserat på fil från systemleverantören uppdateras korrekt Information om förändringar i styrtabeller till följd av ändringar avtal eller lagkrav erhålls från Aditro. Uppdateringarna sker kontinuerligt genom att filer hämtas från Aditros hemsida och läses in. En kopia sparas alltid innan uppdatering sker om något skulle gå fel. Två av systemförvaltarna gör alltid dessa inläsningar tillsammans och vanligen tas några stickprov för att säkerställa att förändringen får önskad effekt och att eventuella egna anpassningar ej skrivs över. Uppföljning av loggar innehållande ändringar i ackumulatorer sker ej. Det uppges endast vara ett begränsat antal personer som utför denna typ av ändringar, vilket kan ses som en kompenserande kontroll. Dock tycks fler personer ha behörighet att utföra ändringar. Vi rekommenderar kommunen att undersöka möjligheten att följa upp loggar innehållande ändringar i ackumulatorer. Ändringar bör gås igenom för att säkerställa att de är godkända och riktiga. Kontrollen bör utföras av annan person än den som utfört ändringen. Vidare bör säkerställas att endast ett fåtal personer har behörighet att ändra i ackumulatorerna. 2 Ackumulatorändringar sker i två steg. Initieras av löneadministratör, verkställs av systemförvaltare och kontrolleras av löneadministratör. Vi kommer att se över hanteringen i samband med byte av sekretesssystem Lönerevision Riktighet i lönerevision Det görs ingen Vi rekommenderar kommunen 3 Det finns ingen funktion 7 (11)

8 När förhandlingsresultaten är klara registreras de nya lönerna manuellt i PS Förhandling och exporteras sedan till filer fördelat per facktillhörlighet och importeras i Personec P av en systemförvaltare tillsammans med person från personalavdelningen (avtalsspecialist). Ett antal stickprov för respektive facktillhörighet tas för att säkerställa att de nya lönerna lästs in korrekt. Stickproven dokumenteras dock ej. Vidare görs ingen totalavstämning att summan av samtliga ändringar enligt underlag överensstämmer med samtliga ändringar som registrerats Lönebearbetning Övergripande uppföljning av fellistor Vid den definitiva körningen gör lönechefen en sista kontroll att det inte ligger några fel eller varningar kvar. Total fellista skrivs ut, 14.1a Utdata semesterlöneskuld signeras och arkiveras i pärm i ett år. Rimlighet semesterlöneskuld Under september/oktober varje år görs sammanställningar över antal kvarvarande semesterdagar per anställd vilka skickas till verksamhetscheferna för uppföljning av efterlevnad mot internt regelverk. Listorna skickas i pappersform och en kopia arkiveras på löneavdelningen i två år. Ekonomi bokar upp förändringen av semesterlöneskulden i samband med delårs- totalavstämning att summan av samtliga ändringar enligt underlag överensstämmer med samtliga ändringar som registrerats. Med tanke på det stora antal ändringar som hanteras ökar risken för felaktiga registreringar. att undersöka möjligheten att få ut en lista ur Personec P som visar inmatade värden. Denna lista kan användas för avstämning mot ändringslistan på totalnivå, detta för att säkerställa att samtliga ändringar förts över till ett korrekt värde. Avstämningen bör göras av annan person än den som utfört ändringen. för detta i systemet idag. 8 (11)

9 14.1b Utdata - Kompskuld och årsbokslut. Övriga månader bokas automatiskt en schablonskuldsförändring. I samband med bokningen görs en rimlighetsbedömning. Rimlighet kompskuldslista Ansvaret för att följa upp upparbetad komptid och övertid är verksamhetschefernas som använder QlikView för detta. Ekonomi bokar upp förändringen av kompskulden i samband med delårs- och årsbokslut och det görs en rimlighetsbedömning i samband med bokningen. 15.1a Utbetalning Begränsad åtkomst till bankfil Löneutbetalningsfilen lagras i en folder som endast systemförvaltarna har behörighet till. Filen är inte krypterad men endast ett fåtal personer har åtkomst till den folder där filen sparas innan den förs över till Nordea via Girolink, vilket får ses som en kompenserande kontroll. 15.1b Utbetalning Godkännande av bankfil När bankfilen skapas genereras en loggfil innehållande information om totalbeloppet. Systemförvaltaren verifierar att summan enligt filen överensstämmer med summan enligt lönesystemet. Underlag arkiveras i särskild pärm. Loggfiler och bankfiler arkiveras årsvis. 15.1c Utbetalning Riktighet och fullständighet av utbetalning Annan systemförvaltare skapar utanordning 9 (11)

10 16.1 Uppdatering av huvudbok 17.1 Avstämning av lönerelaterade balanskonton baserat på underlag från lönesystemet. Denna överlämnas till ansvarig för kassan som kontrollerar att det belopp som automatiskt dragits från kommunens konto överensstämmer med erhållet underlag. Slutligen stämmer systemförvaltaren av att bokföringsfilen överensstämmer med bankfilen. Fullständighet och riktighet avseende uppdatering av huvudbok Det är inte möjligt att läsa in filen i huvudboken om någon transaktion saknar konteringsstyrning. Alla sambandskontroller måste gå igenom för att uppdateringen skall fungera. En av systemförvaltarna hanterar denna rutin. Avstämning av lönerelaterade balanskonton En av systemförvaltarna ansvarar för avstämning av vissa lönekonton och ekonomiavdelningen ansvarar för avstämning av bl.a. schabloner, löneskatt (deklaration), pensioner, semesterlöneskuld och övertidsskuld. Samtliga kontoavstämningar dokumenteras vid delårs- och årsbokslut. Då upprättas en avstämningsblankett (balanskontospecifikation) där saldo enligt huvudbok och saldo enligt underlag framgår. Blanketterna förvaras i en pärm för arkivering. Eventuella differenser förklaras och 10 (11)

11 avstämningen signeras av den som är ansvarig för kontot. 11 (11)